Un agriturismo raccoglie dati personali in diversi momenti: durante una richiesta di disponibilità, nella prenotazione di una camera, per l’invio di comunicazioni o nell’utilizzo del sito web. Una privacy policy chiara deve spiegare agli ospiti che cosa accade a queste informazioni, con quali finalità vengono utilizzate e quali diritti possono essere esercitati. Il riferimento generale è il Regolamento europeo 2016/679, noto come GDPR, integrato dalla normativa italiana applicabile.
Quali dati può trattare un agriturismo
Le informazioni trattate possono includere nome, cognome, recapiti, dati relativi alla prenotazione e preferenze comunicate dall’ospite. In alcune situazioni possono essere necessari dati richiesti dalla legge per gli adempimenti amministrativi o di pubblica sicurezza. I dati di pagamento, invece, possono essere gestiti direttamente da banche, circuiti o piattaforme esterne, secondo le rispettive informative.
È importante distinguere i dati indispensabili da quelli facoltativi. Un numero di telefono può servire per coordinare l’arrivo, mentre l’iscrizione a una newsletter richiede normalmente un consenso separato. La richiesta di informazioni non dovrebbe comportare automaticamente l’adesione a comunicazioni commerciali.
Finalità e basi giuridiche del trattamento
La gestione di una prenotazione trova di norma la propria base giuridica nell’esecuzione di misure precontrattuali o del contratto. Altri trattamenti possono dipendere da un obbligo legale, dall’interesse legittimo del titolare oppure dal consenso dell’interessato. La policy dovrebbe collegare ogni finalità alla relativa base giuridica, evitando formule generiche che non consentano di comprendere l’uso concreto dei dati.
Se l’agriturismo desidera inviare offerte, aggiornamenti o materiale promozionale, deve indicare modalità e frequenza delle comunicazioni e rendere semplice la revoca del consenso. La revoca non rende illecito il trattamento effettuato prima della sua presentazione, ma interrompe quello basato sul consenso per il futuro.
Cookie e strumenti di tracciamento
Il sito può utilizzare cookie tecnici necessari al funzionamento, alla sicurezza o alla gestione della sessione. Per questi strumenti l’informazione deve comunque essere accessibile. I cookie analitici e quelli di profilazione richiedono invece una valutazione specifica, soprattutto quando comportano la comunicazione di dati a fornitori esterni o la creazione di profili degli utenti.
Il banner iniziale dovrebbe distinguere le categorie di cookie e permettere di accettare o rifiutare quelli non necessari con un livello di facilità equivalente. Le preferenze devono poter essere modificate in seguito. Una descrizione completa indica anche i fornitori coinvolti, la durata dei cookie e le istruzioni per gestirli dal browser.
Conservazione, sicurezza e destinatari
La conservazione non può essere indefinita. I dati di prenotazione vengono mantenuti per il periodo necessario alla gestione del rapporto e, quando previsto, per rispettare obblighi fiscali, contabili o di legge. Una volta scaduti i termini pertinenti, le informazioni dovrebbero essere cancellate, anonimizzate o conservate soltanto se esiste una base giuridica documentata.
La privacy policy dovrebbe inoltre chiarire chi può ricevere i dati: personale autorizzato, consulenti, fornitori tecnologici, gestori dei pagamenti o soggetti pubblici quando la comunicazione è obbligatoria. I responsabili del trattamento devono essere scelti con attenzione e vincolati da istruzioni adeguate. Misure come accessi limitati, password robuste, aggiornamenti e copie di sicurezza contribuiscono a ridurre il rischio di perdita o accesso non autorizzato.
Diritti degli interessati e modalità di contatto
L’ospite può chiedere l’accesso ai propri dati, la rettifica di informazioni inesatte e, nei casi previsti, la cancellazione o la limitazione del trattamento. Può inoltre opporsi a determinati utilizzi, chiedere la portabilità dei dati e revocare il consenso. La policy deve spiegare come presentare la richiesta e indicare un recapito effettivamente monitorato, preferibilmente un indirizzo email o PEC e, se utile, un recapito postale.
Il titolare deve rispondere, di regola, entro un mese, salvo proroghe motivate dalla complessità o dal numero delle richieste. Se l’interessato ritiene che il trattamento violi la normativa, può rivolgersi al Garante per la protezione dei dati personali. Un’informativa aggiornata, comprensibile e coerente con le pratiche reali tutela sia gli ospiti sia la struttura, rendendo più trasparente l’intero rapporto.